Regulierung von KI AI Act und ISO 42001 – die Basis für eine sichere KI-Nutzung

Anbieter zum Thema

CADFEM Germany GmbH

xSuite Group GmbH

Esker Software Entwicklungs-und Vertrieb

Künstliche Intelligenz bietet Unternehmen neue Chancen. Um den verantwortungsvollen Einsatz dieser Technologie zu gewährleisten, rücken internationale Normen wie ISO/IEC 42001 und Regularien wie der AI Act der EU in den Fokus. Wie diese Vorgaben Unternehmen helfen, KI-Tools erfolgreich und ethisch korrekt zu implementieren.

Die ISO/IEC 42001:2023-12 ist die erste Norm für KI-Systeme, die von der International Organization für Standardization (ISO) und der International Electrotechnical Commission (IEC) veröffentlicht wurde. Ziel dieser Norm ist es, sicherzustellen, dass KI-Systeme verantwortungsbewusst entwickelt und genutzt werden. Sie fördert die transparente Entwicklung, das Risikomanagement und die Rechenschaftspflicht von KI-Systemen. 

Die neue EU-KI-Verordnung (AI Act) ist wiederum der weltweit erste umfassende Rechtsrahmen für künstliche Intelligenz. Ziel der neuen Vorschriften ist es, vertrauenswürdige KI in Europa und darüber hinaus zu fördern. Dies will die EU erreichen, indem sichergestellt wird, dass KI-Systeme die Grundrechte, die Sicherheit und die ethischen Grundsätze achten und die Risiken sehr leistungsfähiger und wirkungsvoller KI-Modelle angehen.

Bildung eines Ökosystem rund um den AI Act

Wichtig ist, dass es sich bei der KI-Verordnung um eine Produktregulierung handelt, die sich nicht auf Forschungs- und Entwicklungsaktivitäten bezieht. Für die operative Umsetzung in den Ländern wird noch Zeit benötigt, insbesondere für die Ausgestaltung und zügige Durchführung des Zulassungsverfahrens: Es herrscht noch Regelungsbedarf. 

Zudem wird sich ein Ökosystem rund um den AI Act erst noch herausbilden müssen. So hat der TÜV-Süd „AI Procured“ gegründet und wird mit der dynamischen Plattform die Beschaffungsteams in Unternehmen unterstützen, KI-Lösungen effizient zu beschaffen, einzusetzen und gleichzeitig die operativen Risiken zu minimieren. Mittels intelligenter Bewertungsmethodik, umfassenden Datentests und weiterer Dienste soll der gesamte Prozess der KI-Einführung optimiert werden.

AI Act: Wie die Europäische Union KI regulieren will 

Im AI Act werden unter anderem harmonisierte Vorschriften für das Inverkehrbringen, die Inbetriebnahme und die Verwendung von KI-Systemen in der Europäischen Union festgelegt. Zudem definiert das Gesetz Anforderungen und harmonisierte Transparenzvorschriften für bestimmte KI-Systeme sowie Vorschriften für die Marktüberwachung, dessen Governance und Durchsetzung. Insbesondere wird ein Rahmen für das Risikomanagement geschaffen. Die Gesetzgebung verfolgt einen risikobasierten Ansatz mit vier Stufen, die Folgen aus der Einstufung reichen von der freien Nutzung bis zum Verbot. Hier ein Überblick:

• Unakzeptable Systeme: Unakzeptabel und daher verboten sind alle KI-Systeme, die als eindeutige Bedrohung für die Sicherheit, den Lebensunterhalt und die Rechte von Menschen angesehen werden. 

• Hochrisiko-Systeme: Diese umfassen KI-Technologie, die etwa in kritischen Infrastrukturen eingesetzt wird, die das Leben und die Gesundheit der Bürger gefährden könnten. Sie unterliegen strengen Verpflichtungen, bevor sie auf den Markt gebracht werden können. Dabei muss unter anderem auf angemessenes Risikomanagement geachtet werden. Zudem ist eine hohe Qualität der Datensätze nötig, um Risiken und diskriminierende Ergebnisse zu minimieren. Eine Protokollierung der Tätigkeiten zur Gewährleistung der Rückverfolgbarkeit der Ergebnisse ist ebenso nötig wie Unterlagen, die alle erforderlichen Informationen über das System und seinen Zweck enthalten, damit die Behörden ihre Einhaltung bewerten können. Außerdem sind angemessene menschliche Aufsichtsmaßnahmen zur Minimierung des Risikos erforderlich. Die Nutzung unterliegt der Genehmigung durch eine gerichtliche oder andere unabhängige Stelle.

• Systeme mit begrenzten Risiken: Diese Systeme bergen Risiken, die mit mangelnder Transparenz bei der KI-Nutzung verbunden sind. Das KI-Gesetz führt spezifische Transparenzverpflichtungen ein, um sicherzustellen, dass Menschen informiert werden. Die Nutzer sollen einschätzen können, ob sie es mit einer KI zu tun haben oder nicht.

• Systeme mit geringem Risiko: Diese bergen keine wesentlichen Gefahren und können frei verwendet werden. In diese Kategorie fallen etwa einfache Chatbots oder manche Bildbearbeitungssoftware.

Für welche Anbieter gelten die Regelungen?

Relevant ist bei der Verordnung vor allem, dass eine Vielzahl von Beteiligten genannt werden. Der Schwerpunkt liegt dabei auf dem Anbieter, der das KI-System entwickelt hat. Daneben finden sich Regelungen für sogenannte Anwender (englisch: „deployer“). Dabei handelt es sich um natürliche oder juristische Personen, die ein KI-System in eigener Verantwortung verwenden. Auch hier sollte also auf die Anforderung der Regulatorik geachtet werden. 

Anwender müssen ebenfalls handeln und sollten stets prüfen, ob das KI-System einer Klassifikation als Hochrisiko-KI-System entspricht, und sich - wo nötig - die Dokumentation des Anbieters vorlegen lassen. Spannend wird es, wenn der Anwender wesentliche Änderungen am System vornimmt, denn dann ist der Anbieter nicht mehr für das Hochrisiko-KI-System verantwortlich.

Einführung des AI Act erstreckt sich über drei Jahre

Der AI Act trat am 1. August 2024 in Kraft und ist zwei Jahre nach Inkrafttreten vollständig anwendbar. Im Gesamtrahmen ist somit zwar noch etwas Zeit, da die Einführung der Verordnung sich auf bis zu drei Jahre nach Inkrafttreten erstreckt; das verschafft den Entwicklern und Anwendern Zeit, sich vorzubereiten. Doch Vorsicht: “Unakzeptable” Systeme sind bereits sechs Monate nach Inkrafttreten verboten, das ist also schon im Februar 2025 der Fall! Nach zwölf Monaten greifen die Regelungen für KI-Systeme mit allgemeinem Verwendungszweck wie ChatGPT. Die Regelungen zur Klassifizierung von Hoch-Risiko-Systemen und die korrespondierenden Pflichten treten teils nach drei Jahren in Kraft. 

ISO/IEC 42001: Verantwortungsbewusste Entwicklung von KI

Die ISO/IEC 42001 kann in der Praxis als Grundlage für die Umsetzung der Regulatorik im Managementsystem dienen, insbesondere für die Abbildung des Risikomanagements. So können Organisationen diese Norm nutzen, um ihre KI-Systeme verantwortungsbewusst zu entwickeln und gleichzeitig die Anforderungen der EU-KI-Verordnung zu erfüllen. Zudem kann diese in einem integrierten Managementsystem eingegliedert werden, um die Effizienz und Handhabung des Gesamtsystems zu fördern. 

Voraussichtlich wird bald auch eine Zertifizierung des Managementsystems gemäß ISO/IEC 42001 möglich sein, diese ist noch im “Werden”, aber es steht zu erwarten, dass es nur eine Frage der Zeit ist, bis diese veröffentlicht wird und eine Zertifizierung möglich ist. Die Dauer der Einführung der ISO/IEC 42001 hängt von der jeweiligen Organisation ab. Es ist ratsam, dass Unternehmen, die KI-Systeme entwickeln oder nutzen, die Norm so bald wie möglich implementieren. So schaffen sie die Grundlagen für eine Zertifizierung und unterstützen den AI Act. Denn die KI-Entwicklung geht so schnell, dass hier nicht abgewartet werden kann.

AI Act und ISO-Norm: Hier gehen sie Hand in Hand

Folgende zwei Beispiele verdeutlichen den Zusammenhang zwischen der Norm und der EU-KI-Verordnung: 

Transparenz und Rechenschaftspflicht

Beispiel: Ein Gesundheitsdienstleister verwendet KI zur Diagnose von Krankheiten. Die Bewertung des Risikos erfolgt unter anderem auf Basis der EU-Regulatorik. Die EU-KI-Verordnung verlangt, dass Anbieter von KI-Systemen mit hohem Risiko (Gesundheitsrisiken!) transparente Informationen über die Funktionsweise ihrer Systeme bereitstellen. Die ISO/IEC 42001 kann als Grundlage für das Risikomanagement und die Erstellung von Richtlinien zur Transparenz dienen.
Empfehlung: Der Gesundheitsdienstleister sollte eindeutig darstellen können, wie das KI-System Diagnosen trifft, welche Daten es verwendet und in welchen Fällen additiv Prüfungen der Entscheidungen durch einen Experten erfolgen müssen.

Ethische Standards

Beispiel: Ein Hersteller integriert KI in seine HR-Prozesse. Die ISO/IEC 42001 kann dazu beitragen, Qualitätskontrollverfahren zu etablieren, um sicherzustellen, dass das KI-System zuverlässig und sicher funktioniert. Die Bewertung des Risikos erfolgt u. a. auf Basis der EU-Regulatorik.
 Empfehlung: Der Hersteller sollte ethische Richtlinien für das KI-System festlegen, um sicherzustellen, dass es keine diskriminierenden Entscheidungen trifft.

AI Act: Nutzen und Verantwortung zusammen gedacht

Unternehmen streben danach, aus der KI den größtmöglichen Nutzen zu ziehen und gleichzeitig den Stakeholdern Gewissheit zu geben, dass die KI-Instrumente sorgfältig und verantwortungsvoll gehandhabt werden. Hier helfen sowohl die Norm als auch die Regulatorik. Denn ähnlich wie die ISO 9001 für das QM und ISO/IEC 27001 für die Informationssicherheit bietet die ISO/IEC 42001 bewährte Verfahren, Regeln, Definitionen und Leitlinien für das Management von Risiken und betrieblichen Aspekten der KI. Unternehmen können damit Risiken minimieren und rechtliche und regulatorische Anforderungen auf Basis der EU-KI-Verordnung besser erfüllen. 

Der AI Act setzt den Rahmen für die Regulatorik. Vereinfacht kann konstatiert werden, dass aus dem AI Act die meisten Verpflichtungen die Anbieter von risikoreichen KI-Systemen treffen, während die Regeln für verbotene Systeme und Systeme mit begrenzten Risiken und geringen Risiken vergleichsweise einfach handhabbar sind. Der kontrollierte Einsatz von KI kann damit gefördert werden.Insgesamt schaffen die beiden Regelwerke in Kombination einen Rahmen, der die verantwortungsvolle Entwicklung und Nutzung von KI-Systemen unterstützt, gleichzeitig das Vertrauen der Gesellschaft in diese Technologie stärkt und die Akzeptanz von KI-Technologien auf breiter Front erst möglich macht.

AI Act Risk Navigator

KI-Gesetz: Online-Tool ermittelt das Risiko von Künstlicher Intelligenz